Para penipu telah mengeksploitasi buruknya manajemen data di berbagai universitas terkemuka untuk membajak ratusan subdomain, yang kemudian digunakan untuk menyajikan konten pornografi eksplisit dan penipuan berbahaya. Peneliti Alex Shakhov mengidentifikasi setidaknya 34 institusi yang terdampak, termasuk UC Berkeley, Columbia University, dan Washington University in St. Louis. Kerentanan ini muncul akibat catatan DNS CNAME yang tidak dihapus setelah subdomain dinonaktifkan.
Alex Shakhov, pendiri SH Consulting, baru-baru ini menemukan bahwa para penipu, yang oleh peneliti lain dikaitkan dengan kelompok Hazy Hawk, telah mengambil alih subdomain di situs web resmi universitas. Contohnya termasuk causal.stat.berkeley.edu yang menayangkan video porno, conversion-dev.svc.cul.columbia.edu yang menautkan ke konten kebugaran eksplisit, dan provost.washu.edu yang menyajikan PDF penipuan dengan klaim palsu mengenai infeksi komputer. Hasil pencarian Google menunjukkan ribuan halaman yang dibajak tersebut mendapat peringkat tinggi berkat reputasi universitas terkait. Pencarian Google seperti site:berkeley.edu “xxx” menampilkan banyak hasil semacam ini, meskipun beberapa di antaranya telah dibersihkan baru-baru ini. Shakhov menjelaskan akar permasalahannya: organisasi membuat catatan DNS CNAME untuk subdomain namun gagal menghapusnya setelah subdomain tersebut tidak lagi digunakan. “Akar masalahnya sederhana: organisasi membuat catatan DNS dan tidak pernah membersihkannya. Tidak ada tanggal kedaluwarsa pada catatan CNAME. Tidak ada yang menerima peringatan ketika target berhenti merespons. Dan sebagian besar departemen IT universitas tidak memiliki inventaris komprehensif mengenai subdomain mereka dan ke mana subdomain tersebut mengarah,” tulis Shakhov. Struktur universitas yang terdesentralisasi memperburuk masalah ini, di mana departemen dan laboratorium membuat subdomain secara mandiri tanpa proses penonaktifan yang tepat. Shakhov merekomendasikan agar organisasi menginventarisasi semua subdomain, melakukan audit terhadap catatan yang menggantung, dan menghapus CNAME yang tidak aktif. Hanya sedikit universitas terdampak yang telah mengambil tindakan, dan beberapa masih menunjukkan halaman terindeks dalam hasil pencarian meskipun telah dilakukan perbaikan. Permintaan konfirmasi kepada UC Berkeley, Columbia, dan Washington University tidak mendapatkan tanggapan.